Un avis publié le 2 novembre 2026 sur le fork kaniko maintenu par Chainguard décrit une fuite possible de jeton Microsoft Entra ID vers un registre contrôlé par un attaquant. La faille CVE-2026-105769 touche l’assistant d’authentification Azure intégré au build. Pour une équipe qui construit des images conteneur, le sujet porte sur l’identité disponible pendant la compilation, pas seulement sur le code exécuté dans l’image.
Un nom d’hôte accepté trop largement
Le composant reconnaissait certains registres Azure avec une expression qui acceptait aussi un nom trompeur. Une référence d’image dans un Dockerfile peut alors conduire à transmettre le jeton au mauvais hôte. L’avis précise qu’aucune instruction RUN ni publication d’image n’est nécessaire. Le build doit toutefois pouvoir obtenir une identité Azure : toute utilisation de kaniko n’entraîne donc pas automatiquement une fuite.
Identifier le binaire réellement utilisé
La correction du fork est disponible à partir de 1.25.20, mais ce dépôt ne distribue ni binaire ni image. DevOpsness compare les forks et distingue les anciennes images non maintenues de ce code corrigé. Relevez la provenance et l’empreinte de l’exécuteur, du warmer et de l’assistant autonome. Une étiquette ressemblant à un numéro de version ne constitue pas, à elle seule, une preuve de correction.
Séparer les entrées non fiables de l’identité Azure
Demandez qui peut modifier les Dockerfiles et les arguments de build, puis quelles permissions Azure sont disponibles sur les runners correspondants. Le périmètre inclut les identités managées et les identités de charge de travail, pas seulement un secret écrit dans une variable. En attendant la reconstruction, suivez les mesures de l’avis pour empêcher les builds non fiables d’atteindre cette identité. Testez ensuite le parcours de publication légitime.
Examiner ce qu’un jeton aurait permis
Safeguard propose de partir de l’inventaire des runners pour retrouver les accès exposés. Si un build non fiable a bénéficié d’une identité Azure, rapprochez sa période d’exécution des journaux Entra ID et Azure. La rotation d’un secret ne révoque pas un jeton déjà émis. Vérifiez aussi les secrets lisibles avec les permissions de cette identité et les publications d’images inattendues avant de conclure à la fin de l’incident.
Le lien avec Soclyde
Les accès humains d’administration des pipelines doivent rester distincts des identités techniques utilisées par kaniko. Soclyde aide à conserver leurs mots de passe dans un coffre chiffré sur les appareils autorisés, sans les disperser dans des messages. Le coffre ne filtre pas les noms de registres et ne remplace pas la gestion des permissions Azure ou des secrets injectés dans les runners.
À retenir
Identifiez le composant exécuté, reconstruisez-le depuis le code corrigé et contrôlez les permissions de build. Après une exposition possible, traitez aussi les jetons et les secrets accessibles. Le guide mot de passe piraté : que faire apporte une méthode pour organiser le renouvellement des accès humains associés.
